macOS 10.14.3 MojaveまでのmacOSでシステム管理者権限なしにキーチェーンに保存されたパスワードを全て盗むことができ脆弱性「KeySteal」がGitHubで公開。

CVE-2019-8526 macOS 10.14 Mojave
記事内に広告が含まれています。
スポンサーリンク

 macOS 10.14.3 MojaveまでのmacOSでシステム管理者権限を必要とせず、キーチェーンに保存されたパスワードを全て盗むことができ脆弱性「KeySteal」がGitHubで公開されています。詳細は以下から。

キーチェーンアクセスのアイコン

 2019年02月、18歳のドイツの学生Linus Henzeさんがシステム管理者権限なしでmacOSのデフォルト・パスワードマネージャーである「Keychain」に保存されたパスワードを全て盗むことができる「KeySteal」脆弱性を発見し、Appleに報奨金を払うよう要求したことが話題になりましたが(以下参照)、

KeySteal

Linusさんは06月、このKeySteal脆弱性をObjective-Seeのセキュリティ研究者Patrick Wardleさんが主催する”Objective by the Sea”で発表し、ソースコードをGitHubで公開したそうです。

Objective by the Sea KeySteal

KeySteal(CVE-2019-8526)

 Linusさんによると、KeySteal脆弱性は”securityd”の不具合を利用してパスワードプロンプトなしにKeychainへアクセスする「KeySteal Daemon」とインジェクションによる攻撃を行う「KeySteal Client」という構成で、

CVE-2019-8526

セキュリティ

  • 対象 OS:macOS Sierra 10.12.6、macOS High Sierra 10.13.6、macOS Mojave 10.14.3
  • 影響:アプリケーションに、昇格した権限を取得される可能性がある。
  • 説明:メモリ管理を強化し、解放済みメモリ使用 (use-after-free) の脆弱性に対処しました。
  • CVE-2019-8526:Linus Henze 氏 (pinauten.de)

macOS Mojave 10.14.4のセキュリティコンテンツについて

この2つを利用すればmacOS 10.14.3 Mojave以下のmacOSでシステム管理者権限なしにパスワードを盗むことができるそうなので、興味のある方は試してみてください。

KeySteal is a macOS <= 10.14.3 Keychain exploit that allows you to access passwords inside the Keychain without a user prompt. The vulnerability has been assigned CVE-2019-8526 number. KeySteal consists of two parts:

LinusHenze/Keysteal: A macOS <= 10.14.3 Keychain exploit – GitHub

KeyStealのタイムライン

  • 2019年02月04日
    ▶ Linus HenzeさんがKeyStealのPoCを公開。Appleに対しiOSの”Bug Bounty Program”を拡大し、macOSの脆弱性にも報奨金を払うように要求。
  • 2019年02月07日
    ▶ KeyStealのPoCが実証され、AppleのProduct Security TeamがLinus Henzeさんコンタクトを取るも、Linusさんは公開を拒否
  • 2019年03月01日
    ▶ KeySteal騒動がニュースになり、Linusさんはこの脆弱性の詳細とパッチを無償でAppleに送ったと発表
  • 2019年03月26日
    ▶ AppleがKeySteal脆弱性(CVE-2019-8526)を修正したmacOS Mojave 10.14.4をリリース。
  • 2019年06月01日
    ▶ KeyStealをGitHubで公開。

コメント

タイトルとURLをコピーしました